民國115年 高考三級 資訊處理 資通網路與安全
第4題
某公司使用一套由外部廠商提供的遠端管理工具，該工具平時用於協助 資訊人員更新軟體、派送設定檔與維護內部主機。某次例行更新後，多 台內部主機開始出現異常連線行為，…
題目
某公司使用一套由外部廠商提供的遠端管理工具，該工具平時用於協助 資訊人員更新軟體、派送設定檔與維護內部主機。某次例行更新後，多 台內部主機開始出現異常連線行為，但使用者並未點擊可疑郵件，也未 下載未知檔案。初步調查發現，異常程式是透過該遠端管理工具的正常 更新流程被派送到主機上，因此在部分紀錄中顯示為「合法更新」。請回 答下列問題：（每小題15 分，共30 分） 此事件中，攻擊者為何不一定需要直接攻擊公司內部系統，也能使內 部主機執行惡意程式？請分析其可能涉及的攻擊方法，並說明此類攻 擊與一般使用者自行下載惡意程式有何不同。 若公司只檢查「員工是否點擊可疑郵件」或「主機是否存在未修補弱 點」，為何可能無法發現此類攻擊的真正原因？請說明應如何從第三 方風險管理、更新驗證與內部監控三個面向降低風險。
參考解答（AI 生成，非官方）
- 一、此為供應鏈攻擊（supply chain attack）與合法工具濫用。攻擊者先入侵 RMM（Remote Monitoring and Management，遠端監控與管理）廠商的更新伺服器、竊取簽章憑證或取得派送權限，將惡意載荷包入正常更新；內部主機因信任廠商而主動下載，形成「路過式」入侵。主機未直接被掃描或破解，而是透過可信更新通道執行惡意碼。
- 二、常見手法包括：更新伺服器遭植入、廠商金鑰或開發帳號遭竊、以合法 RMM 功能執行腳本與橫向移動（living off the land）、簽章惡意程式、利用雲端中繼作為 C2（Command and Control，命令與控制）。與使用者自行下載不同：無釣魚點擊、由合法簽章與白名單程序執行、可大規模派送、易繞過郵件與端點信譽檢查，潛伏期更長。
- 三、只檢查員工是否點擊郵件或主機有無未修補弱點，會失效，因感染鏈不在使用者行為或已知 CVE，而在「信任的廠商與更新通道」；端點日誌顯示合法程序、合法簽章與合法目的地，傳統防毒亦可能放行。應從三方風險管理、更新驗證與內部監控三面向補強。
- 四、三方風險管理：供應商分級、安全評鑑、合約要求漏洞通報與修補、終止條款及持續監控；更新驗證：來源與簽章雙重驗證、雜湊完整性檢查、測試環境灰度、分批部署與回滾；內部監控：RMM 最小權限與 MFA、專用帳號、Egress 白名單、EDR 行為規則、異常連線偵測、離線備份與復原演練。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。